PromptSpy Android-skadlig kod använder AI för att styra telefoner

Mobila hot går in i en ny fas av automatisering. PromptSpy Android-skadlig kod sticker ut eftersom den aktivt använder generativ AI direkt på enheten. I stället för fast beteende anpassar spionprogrammet sina handlingar efter varje telefon det infekterar.

Hur skadeprogrammet fungerar

Forskare identifierade flera versioner av spionprogrammet, där den nyare varianten integrerar en AI-modell under körning. Skadeprogrammet analyserar vad som visas på skärmen och begär instruktioner om hur gränssnittet ska användas.

Det frågar upprepade gånger modellen var den ska trycka och vilket steg som ska utföras härnäst. Detta gör att programmet kan slutföra uppgifter på olika Androidversioner och enhetslayouter.

Huvudmålet är uthållighet. Genom adaptiva instruktioner håller spionprogrammet sig aktivt så operativsystemet inte stänger det automatiskt.

Fjärrstyrningsfunktioner

Efter att ha fått åtkomst via tillgänglighetsbehörigheter får angripare omfattande kontroll över enheten. Spionprogrammet fungerar i praktiken som ett fjärrövervakningsverktyg styrt av en operatör.

Programmet kan:

• Samla in inloggningsuppgifter från låsskärmen
• Registrera upplåsningsmönster
• Övervaka skärmaktivitet
• Ta skärmbilder
• Spåra körande appar
• Ladda upp listor över installerade applikationer

Dessa funktioner möjliggör kontinuerlig övervakning av offrets aktivitet.

Tekniker för att förhindra borttagning

Spionprogrammet stör aktivt försök att avinstallera det. Det placerar vilseledande överlägg på avinstallationsskärmar så att tryckningar inte registreras korrekt.

På grund av detta beteende måste användare oftast starta om i felsäkert läge innan applikationen kan tas bort.

Observationer om spridning

Forskare observerade riktad spridning snarare än massinfektion. Kampanjen använde dedikerade domäner och imiterade tjänstesidor för att lura offer att installera applikationen.

Den begränsade spridningen tyder på testning eller tidig fas snarare än global utbrott.

Varför hotet är viktigt

Traditionlig skadlig kod bygger på fördefinierad logik. PromptSpy anpassar sig i stället dynamiskt efter gränssnittet den ser. Denna flexibilitet förbättrar tillförlitlighet över olika enheter och minskar behovet av flera varianter.

Säkerhetsverktyg som upptäcker statiskt beteende kan få svårt att stoppa program som kontinuerligt ändrar sina handlingar.

Slutsats

PromptSpy Android-skadlig kod visar hur artificiell intelligens kan förstärka spionprogram. Programmet utför inte bara kommandon utan lär sig hantera enheten i realtid. När adaptiva hot blir vanligare måste säkerhetsförsvar fokusera mer på beteendeanalys än fasta signaturer.